Opa, e aí galera.
Tudo bem?
Encontrei um texto bem bacana para leigos sobre como funciona o heartbleed. Como eu disse, é um texto para leigos que explica o que este bug é e como ele funciona, em termos de código.
Como a wikipedia fala, é um erro básico, uma situação em que mais dados podem ser lidos do que deveria ser permitido.
O link para o texto em português é: https://gizmodo.uol.com.br/como-funciona-o-heartbleed/
O link para o texto original é: https://gizmodo.com/how-heartbleed-works-the-code-behind-the-internets-se-1561341209
Bom, é isso.
Um abração!
Mostrando postagens com marcador software livre. Mostrar todas as postagens
Mostrando postagens com marcador software livre. Mostrar todas as postagens
Instalando o Volatility no Windows
Opa, e aí galera.
Tudo bem?
A ferramenta volatility é muito conhecida na forense de memória, aliás é uma das ferramentas mais populares de forense de memória no mundo open source.
Segundo o site desta ferramenta: The Volatility Foundation is an independent 501(c) (3) non-profit organization that maintains and promotes open source memory forensics with The Volatility Framework.
A questão é que muitas vezes nós encontramos o framework volatility em distribuições linux voltadas para forense computacional (e.g. CAINE, DEFT, SIFT, KALI, etc). E se eu quiser instalar em ambientes Windows? Como eu faço? É esse o propósito desse post: mostrar como instalar o volatility em ambientes Windows.
1) Instalando o Python
Muito bem, vamos lá. A primeira coisa a se fazer é baixar e instalar o python. O faq do volatility diz que pode ser o python 2.6 ou versões acima; mas não pode ser o python 3.x.
OBS: o wiki de instalação da ferramenta diz que podemos instalar pacotes adicionais (se formos usar certos plugins). Mas se instalarmos o básico, a ferramenta ainda irá funcionar. Nesse post, nós vamos instalar o básico da ferramenta.
Eu vou baixar e instalar a versão 2.7.0 do python.
Depois de instalar o python, eu preciso setar nas variáveis de ambiente do sistema.
Abro o painel de controle, clico na opção "Sistema e Segurança" e escolho a opção "Sistema". Depois disso clico na opção "Configurações avançadas do sistema"
Na janela que aparecer, eu escolho a aba "Avançado" e clico no botão "Variáveis de Ambiente"
Depois, no campo Variáveis do sistema, eu vou procurar pela variável "path" e clicar em "editar". Vai abrir uma nova janela para editar a variável do sistema; eu vou adicionar no fim da linha o sinal de ponto e vírgula (;) e o caminho completo de onde o python foi instalado (no meu caso, o python está no C:\Python27). Depois clico em OK
2) Instalando o Volatility
Eu vou baixar a última versão do volatility, que nesse momento é a 2.5. A versão do volatility é a 2.5 Windows Standalone Executable.zip
Eu vou criar uma pasta dentro do C:\ e vou renomeá-la para vol (C:\vol). E aí vou descompactar todo o conteúdo do arquivo volatility_2.5.win.standalone.zip lá dentro.
Depois, eu vou abrir o CMD do Windows e vou navegar até o diretório C:\vol (que é onde eu tenho o executável do volatility). E aí é só digitar no CMD: volatility.2.5-standalone.exe -h
3) Executando o Volatility
Eu vou mostrar a execução do volatility em um dump de memória de um CTF, o grrcon 2015. A linha de comando do volatility no windows é: volatility.exe -f [dump de memória a ser analisado] --profile=[profile que obtivemos usando o plugin imageinfo] [plugin que queremos usar]. Como exemplo, eu vou usar um dump de memória que tem o nome "Target1-1dd8701f.vmss". Portanto, a linha de comando para usar o volatility no windows fica assim: volatility.exe -f "c:\grrcon 2015\target1\Target1-1dd8701f.vmss" --profile=Win7SP0x86 pslist
Bom, é isso.
O volatility rodou numa boa, sem nenhum problema.
Espero que esse post seja importante
Um abração!
Tudo bem?
A ferramenta volatility é muito conhecida na forense de memória, aliás é uma das ferramentas mais populares de forense de memória no mundo open source.
Segundo o site desta ferramenta: The Volatility Foundation is an independent 501(c) (3) non-profit organization that maintains and promotes open source memory forensics with The Volatility Framework.
A questão é que muitas vezes nós encontramos o framework volatility em distribuições linux voltadas para forense computacional (e.g. CAINE, DEFT, SIFT, KALI, etc). E se eu quiser instalar em ambientes Windows? Como eu faço? É esse o propósito desse post: mostrar como instalar o volatility em ambientes Windows.
1) Instalando o Python
Muito bem, vamos lá. A primeira coisa a se fazer é baixar e instalar o python. O faq do volatility diz que pode ser o python 2.6 ou versões acima; mas não pode ser o python 3.x.
OBS: o wiki de instalação da ferramenta diz que podemos instalar pacotes adicionais (se formos usar certos plugins). Mas se instalarmos o básico, a ferramenta ainda irá funcionar. Nesse post, nós vamos instalar o básico da ferramenta.
Eu vou baixar e instalar a versão 2.7.0 do python.
Depois de instalar o python, eu preciso setar nas variáveis de ambiente do sistema.
Abro o painel de controle, clico na opção "Sistema e Segurança" e escolho a opção "Sistema". Depois disso clico na opção "Configurações avançadas do sistema"
Na janela que aparecer, eu escolho a aba "Avançado" e clico no botão "Variáveis de Ambiente"
Depois, no campo Variáveis do sistema, eu vou procurar pela variável "path" e clicar em "editar". Vai abrir uma nova janela para editar a variável do sistema; eu vou adicionar no fim da linha o sinal de ponto e vírgula (;) e o caminho completo de onde o python foi instalado (no meu caso, o python está no C:\Python27). Depois clico em OK
2) Instalando o Volatility
Eu vou baixar a última versão do volatility, que nesse momento é a 2.5. A versão do volatility é a 2.5 Windows Standalone Executable.zip
Eu vou criar uma pasta dentro do C:\ e vou renomeá-la para vol (C:\vol). E aí vou descompactar todo o conteúdo do arquivo volatility_2.5.win.standalone.zip lá dentro.
Depois, eu vou abrir o CMD do Windows e vou navegar até o diretório C:\vol (que é onde eu tenho o executável do volatility). E aí é só digitar no CMD: volatility.2.5-standalone.exe -h
3) Executando o Volatility
Eu vou mostrar a execução do volatility em um dump de memória de um CTF, o grrcon 2015. A linha de comando do volatility no windows é: volatility.exe -f [dump de memória a ser analisado] --profile=[profile que obtivemos usando o plugin imageinfo] [plugin que queremos usar]. Como exemplo, eu vou usar um dump de memória que tem o nome "Target1-1dd8701f.vmss". Portanto, a linha de comando para usar o volatility no windows fica assim: volatility.exe -f "c:\grrcon 2015\target1\Target1-1dd8701f.vmss" --profile=Win7SP0x86 pslist
Bom, é isso.
O volatility rodou numa boa, sem nenhum problema.
Espero que esse post seja importante
Um abração!
Trabalhando com Autopsy
Opa, e aí galera.
Tudo bem?
Semana passada, nós mostramos como instalar o sleuthkit e autopsy no debian.
Muito bem. Agora, nós vamos ver como trabalhar com o autopsy, adicionando uma imagem e analisando essa imagem forense.
O que é o autopsy?
É uma interface gráfica para as ferramentas em linhas de comando do sleuthkit. O propósito do autopsy é analisar um file system de uma imagem forense.
Neste post, estaremos usando a distribuição SIFT (SANS Investigative Forensic Toolkit).
É uma distribuição voltada para forense computacional, que possui várias ferramentas com este propósito. A SIFT é baseada no Ubuntu. No entanto, podemos usar outras distribuições como a BackTrack (Kali), Caine, DEFT, etc.
Nós vamos analisar uma imagem física do Windows Vista
OBS: no fim deste post existe um link de referência. Nesta referência, a análise foi feita usando uma imagem lógica de uma partição do Windows
Para iniciar o autopsy, digite: autopsy.
Depois, selecione com o mouse o link que a ferramenta irá te passar, clique com o botão direito do mouse e escolha a opção: Open Link
Seção 1 - Criando um novo Caso no Autopsy
1.1) Criando um novo caso:
1.1.1) Clique no botão: New Case
1.2) Criando um novo caso:
1.2.1) Case Name: Analisando-Windows
1.2.2) Description: Procurando arquivos deletados
1.2.3) Investigator Names: aqui vai o seu nome. No meu caso, vou colocar Anderson
1.2.4) Clique no botão: New Case
1.3) Adicionando Host
1.3.1) Clique no botão: Add Host
1.4) Adicionando Host
1.4.1) Host Name: host1
1.4.2) Clique no botão: Add Host
1.5) Adicionando Imagem
1.5.1) Clique no botão: Add Image
1.6) Adicionando Imagem
1.6.1) Neste momento, vou informar o diretório onde a imagem está armazenada: ls $PWD/vis*
1.6.2) Selecione com o mouse e copie o path completo da imagem
1.7) Adicionando Imagem
1.7.1) Clique no botão: Add Image File
1.8) Adicionando Imagem
1.8.1) Cole o path completo da imagem
1.8.2) Type: no meu caso, eu vou escolher a opção Partition
1.8.3) Import Method: no meu caso, eu vou escolher a opção Symlink
1.8.4) Clique no botão: Next
1.9) Adicionando Imagem
1.9.1) Na opção Data Integrity, seleciona a opção: Ignore...
1.9.2) Clique no botão: Add
1.10) Adicionando Imagem
1.10.1) Clique no botão: Ok
1.11) Calculando a integridade da imagem com o algoritmo MD5
1.11.1) Clique no botão: Image Integrity
1.12) Calculando a integridade da imagem com o algoritmo MD5
1.12.1) Clique no botão: Calculate
1.13) Visualizando o Check Sum MD5
1.13.1) O resultado será mostrado logo abaixo.
1.13.2) Clique no botão: Close
Referência: http://computersecuritystudent.com/FORENSICS/AUTOPSY/lesson1/
Existem alguns vídeos no youtube que mostram uma versão mais recente do autopsy, versão esta que roda somente em Windows.
Os links para os vídeos são:
- vídeo 1: https://www.youtube.com/watch?v=J1vhU0ZJNCs
- vídeo 2: https://www.youtube.com/watch?v=DlZTYBuvkZY
- vídeo 3: https://www.youtube.com/watch?v=_NSEufvkZIs
- vídeo 4: https://www.youtube.com/watch?v=e5O-d5M90EI
Tudo bem?
Semana passada, nós mostramos como instalar o sleuthkit e autopsy no debian.
Muito bem. Agora, nós vamos ver como trabalhar com o autopsy, adicionando uma imagem e analisando essa imagem forense.
O que é o autopsy?
É uma interface gráfica para as ferramentas em linhas de comando do sleuthkit. O propósito do autopsy é analisar um file system de uma imagem forense.
Neste post, estaremos usando a distribuição SIFT (SANS Investigative Forensic Toolkit).
É uma distribuição voltada para forense computacional, que possui várias ferramentas com este propósito. A SIFT é baseada no Ubuntu. No entanto, podemos usar outras distribuições como a BackTrack (Kali), Caine, DEFT, etc.
Nós vamos analisar uma imagem física do Windows Vista
OBS: no fim deste post existe um link de referência. Nesta referência, a análise foi feita usando uma imagem lógica de uma partição do Windows
Para iniciar o autopsy, digite: autopsy.
Depois, selecione com o mouse o link que a ferramenta irá te passar, clique com o botão direito do mouse e escolha a opção: Open Link
Seção 1 - Criando um novo Caso no Autopsy
1.1) Criando um novo caso:
1.1.1) Clique no botão: New Case
1.2) Criando um novo caso:
1.2.1) Case Name: Analisando-Windows
1.2.2) Description: Procurando arquivos deletados
1.2.3) Investigator Names: aqui vai o seu nome. No meu caso, vou colocar Anderson
1.2.4) Clique no botão: New Case
1.3) Adicionando Host
1.3.1) Clique no botão: Add Host
1.4) Adicionando Host
1.4.1) Host Name: host1
1.4.2) Clique no botão: Add Host
1.5) Adicionando Imagem
1.5.1) Clique no botão: Add Image
1.6) Adicionando Imagem
1.6.1) Neste momento, vou informar o diretório onde a imagem está armazenada: ls $PWD/vis*
1.6.2) Selecione com o mouse e copie o path completo da imagem
1.7) Adicionando Imagem
1.7.1) Clique no botão: Add Image File
1.8) Adicionando Imagem
1.8.1) Cole o path completo da imagem
1.8.2) Type: no meu caso, eu vou escolher a opção Partition
1.8.3) Import Method: no meu caso, eu vou escolher a opção Symlink
1.8.4) Clique no botão: Next
1.9) Adicionando Imagem
1.9.1) Na opção Data Integrity, seleciona a opção: Ignore...
1.9.2) Clique no botão: Add
1.10) Adicionando Imagem
1.10.1) Clique no botão: Ok
1.11) Calculando a integridade da imagem com o algoritmo MD5
1.11.1) Clique no botão: Image Integrity
1.12) Calculando a integridade da imagem com o algoritmo MD5
1.12.1) Clique no botão: Calculate
1.13) Visualizando o Check Sum MD5
1.13.1) O resultado será mostrado logo abaixo.
1.13.2) Clique no botão: Close
Referência: http://computersecuritystudent.com/FORENSICS/AUTOPSY/lesson1/
Existem alguns vídeos no youtube que mostram uma versão mais recente do autopsy, versão esta que roda somente em Windows.
Os links para os vídeos são:
- vídeo 1: https://www.youtube.com/watch?v=J1vhU0ZJNCs
- vídeo 2: https://www.youtube.com/watch?v=DlZTYBuvkZY
- vídeo 3: https://www.youtube.com/watch?v=_NSEufvkZIs
- vídeo 4: https://www.youtube.com/watch?v=e5O-d5M90EI
Instalando o DCFLDD
Opa, e aí galera
Tudo bem?
Nós já falamos aqui sobre o DCFLDD que é uma ferramenta semelhante ao DD. O Eriberto até comenta sobre esta ferramenta em seu novo livro (Descobrindo o Linux - 3ª Edição).
Pois bem, algumas pessoas já me perguntaram como eu faço pra instalar essa ferramenta. Então agora eu vou mostrar esse procedimento, que é bem simples.
A primeira coisa que vamos fazer é entrar no site: http://dcfldd.sourceforge.net/#download
Vamos fazer o download do arquivo "source code" que é o código fonte da ferramenta. E depois vamos compilar e instalar no sistema.
O sistema que estou usando é o Debian 7.
Existem algumas distribuições voltadas para forense que já vem com esta ferramenta pré-instalada, como é o caso da CAINE, DEFT, Backtrack (que agora o projeto se chama Kali), SIFT, etc.
Estou baixando o arquivo que é o código-fonte da ferramenta. Neste momento, a versão mais atual do dcfldd é a 1.3.4
Depois de baixar a ferramenta, eu vou descompactá-la: tar -xzvf dcfldd-1.3.4.tar.gz
Depois eu vou entrar no diretório que foi criado para a ferramenta
Neste momento, estou pronto para compilar a ferramenta. Então, vou usar o comando ./configure para configurar o meu ambiente
O próximo passo é digitar o comando: make
Por fim, basta digitar o comando: make install
Pronto. Instalamos a ferramenta.
Para ter certeza qual a versão que foi instalada, basta digitarmos: dcfldd --version
Bom, é isso galera.
Espero que esse post seja interessante.
Um abração!
Tudo bem?
Nós já falamos aqui sobre o DCFLDD que é uma ferramenta semelhante ao DD. O Eriberto até comenta sobre esta ferramenta em seu novo livro (Descobrindo o Linux - 3ª Edição).
Pois bem, algumas pessoas já me perguntaram como eu faço pra instalar essa ferramenta. Então agora eu vou mostrar esse procedimento, que é bem simples.
A primeira coisa que vamos fazer é entrar no site: http://dcfldd.sourceforge.net/#download
Vamos fazer o download do arquivo "source code" que é o código fonte da ferramenta. E depois vamos compilar e instalar no sistema.
O sistema que estou usando é o Debian 7.
Existem algumas distribuições voltadas para forense que já vem com esta ferramenta pré-instalada, como é o caso da CAINE, DEFT, Backtrack (que agora o projeto se chama Kali), SIFT, etc.
Estou baixando o arquivo que é o código-fonte da ferramenta. Neste momento, a versão mais atual do dcfldd é a 1.3.4
Depois de baixar a ferramenta, eu vou descompactá-la: tar -xzvf dcfldd-1.3.4.tar.gz
Depois eu vou entrar no diretório que foi criado para a ferramenta
Neste momento, estou pronto para compilar a ferramenta. Então, vou usar o comando ./configure para configurar o meu ambiente
O próximo passo é digitar o comando: make
Por fim, basta digitar o comando: make install
Pronto. Instalamos a ferramenta.
Para ter certeza qual a versão que foi instalada, basta digitarmos: dcfldd --version
Bom, é isso galera.
Espero que esse post seja interessante.
Um abração!
Instalando Sleuthkit e Autopsy no Debian 7
Opa, e aí galera
Tudo bem?
Eu recebi alguns emails me perguntando como instalar a suíte sleuthkit no debian. De antemão, podemos instalar o sleuthkit com a ferramenta automatizada do debian: apt-get install sleuthkit.
Porém, com este procedimento, não iremos instalar a útlima versão da ferramenta. Ou seja, não estaremos instalando a versão mais atualizada.
Por isso, eu vou mostrar neste post como instalar o sleuthkit a partir do código fonte. Assim, estaremos instalando a versão mais atual da ferramenta.
Pra este post, eu instalei o debian 7. Depois de instalado, atualizei o sistema com os comandos "apt-get install update ; apt-get install upgrade".
Depois disso, digitei o comando: apt-get install build-essential
Depois, eu descompactei o sleuthkit que baixei do próprio site da ferramenta. Durante este post, a versão mais atual e estável da ferramenta é a versão 4.0.1. Muito bem, é esta a versão que vou instalar no meu sistema. Para descompactar, eu usei o comando: tar -xzvf sleuthkit-4.1.0.tar.gz
O comando anterior vai gerar um diretório chamado sleuthkit-4.0.1. O próximo passo é entrar neste diretório e aí começar a compilar a ferramenta.
Pronto, agora podemos iniciar o processo de compilação do sleuthkit. Eu volto a falar que escolhi compilar a ferramenta porque assim estarei instalando no meu sistema operacional (Debian 7) a versão mais atualizada. Fazendo uso do comando apt-get install sleuthkit, eu também estarei instalando a ferramente, mas não é a versão mais atual. Beleza?
Então, neste momento, eu digitei o comando: ./configure
Depois disso, digitei o comando: make
O comando anterior leva alguns minutos para ser executado por completo. Depois do comando make ter terminado, o último comando a ser digitado é: make install
Pronto!
A ferramenta foi instalada e já está pronta para ser usada.
Para testar a ferramenta, podemos usar um dos seus comandos e ver qual q versão está instalada no sistema. Conforme a próxima figura, podemos ver que a versão instalada é a 4.0.1
Agora que o sleuthkit está instalado, podemos instalar também o Autopsy que é um front-end para o sleuthkit. Só que esta ferramenta é em HTML. É uma ferramenta bem bacana de se usar.
No momento que estou escrevendo este post, a versão atual para linux é a 2.24. A versão 3 só tem pra Windows.
Vamos fazer o download do Autopsy lá do site. Podemos notar que o arquivo possui extensão .tar.gz: autopsy-2.24.tar.gz.
Eu vou descompactar o arquivo com o comando: tar -xzvf autopsy-2.24.tar.gz
O próximo passo agora é entrar no diretório que foi criado.
Agora, nós vamos criar um diretório onde a ferramenta salva arquivos de configuração, logs, etc. Este diretório é o Evidence Locker.
Agora, iremos digitar o comando: ./configure.
A ferramenta vai nos pedir se queremos usar a biblioteca NSRL (National Software Reference Library) do NIST. Na imagem a seguir, nós vamos escolher a opção "n", que significa que não vamos usá-la.
Neste momento a ferramenta nos pergunta qual o diretório do Evidence Locker. No meu caso, estou indicando que este diretório é: /home/anderson/Evidence_Locker
Pronto, agora a ferramenta foi instalada com exito.
Vamos iniciar o autopsy digitando na linha de comando: ./autopsy
Como eu disse que o autopsy é em HTML, vamos abrir algum browser e digitar no campo de endereço de URL: http://localhost:9999/autopsy
Pronto, podemos acessar a ferramenta, adicionar um caso e partir para a análise.
Bom, é isso, galera
Espero que este post possa ser útil para quem precisar instalar estas 2 ferramentas no seu sistema.
Existe um outro post em um outro blog que mostra exatamente estes mesmos passos que eu mostrei aqui: http://shankaraman.wordpress.com/2012/11/16/how-to-install-autopsy-and-sleuthkit-in-ubuntu/
Um abração e até a próxima!
Tudo bem?
Eu recebi alguns emails me perguntando como instalar a suíte sleuthkit no debian. De antemão, podemos instalar o sleuthkit com a ferramenta automatizada do debian: apt-get install sleuthkit.
Porém, com este procedimento, não iremos instalar a útlima versão da ferramenta. Ou seja, não estaremos instalando a versão mais atualizada.
Por isso, eu vou mostrar neste post como instalar o sleuthkit a partir do código fonte. Assim, estaremos instalando a versão mais atual da ferramenta.
Pra este post, eu instalei o debian 7. Depois de instalado, atualizei o sistema com os comandos "apt-get install update ; apt-get install upgrade".
Depois disso, digitei o comando: apt-get install build-essential
Depois, eu descompactei o sleuthkit que baixei do próprio site da ferramenta. Durante este post, a versão mais atual e estável da ferramenta é a versão 4.0.1. Muito bem, é esta a versão que vou instalar no meu sistema. Para descompactar, eu usei o comando: tar -xzvf sleuthkit-4.1.0.tar.gz
O comando anterior vai gerar um diretório chamado sleuthkit-4.0.1. O próximo passo é entrar neste diretório e aí começar a compilar a ferramenta.
Pronto, agora podemos iniciar o processo de compilação do sleuthkit. Eu volto a falar que escolhi compilar a ferramenta porque assim estarei instalando no meu sistema operacional (Debian 7) a versão mais atualizada. Fazendo uso do comando apt-get install sleuthkit, eu também estarei instalando a ferramente, mas não é a versão mais atual. Beleza?
Então, neste momento, eu digitei o comando: ./configure
Depois disso, digitei o comando: make
O comando anterior leva alguns minutos para ser executado por completo. Depois do comando make ter terminado, o último comando a ser digitado é: make install
Pronto!
A ferramenta foi instalada e já está pronta para ser usada.
Para testar a ferramenta, podemos usar um dos seus comandos e ver qual q versão está instalada no sistema. Conforme a próxima figura, podemos ver que a versão instalada é a 4.0.1
Agora que o sleuthkit está instalado, podemos instalar também o Autopsy que é um front-end para o sleuthkit. Só que esta ferramenta é em HTML. É uma ferramenta bem bacana de se usar.
No momento que estou escrevendo este post, a versão atual para linux é a 2.24. A versão 3 só tem pra Windows.
Vamos fazer o download do Autopsy lá do site. Podemos notar que o arquivo possui extensão .tar.gz: autopsy-2.24.tar.gz.
Eu vou descompactar o arquivo com o comando: tar -xzvf autopsy-2.24.tar.gz
O próximo passo agora é entrar no diretório que foi criado.
Agora, nós vamos criar um diretório onde a ferramenta salva arquivos de configuração, logs, etc. Este diretório é o Evidence Locker.
Agora, iremos digitar o comando: ./configure.
A ferramenta vai nos pedir se queremos usar a biblioteca NSRL (National Software Reference Library) do NIST. Na imagem a seguir, nós vamos escolher a opção "n", que significa que não vamos usá-la.
Neste momento a ferramenta nos pergunta qual o diretório do Evidence Locker. No meu caso, estou indicando que este diretório é: /home/anderson/Evidence_Locker
Pronto, agora a ferramenta foi instalada com exito.
Vamos iniciar o autopsy digitando na linha de comando: ./autopsy
Como eu disse que o autopsy é em HTML, vamos abrir algum browser e digitar no campo de endereço de URL: http://localhost:9999/autopsy
Pronto, podemos acessar a ferramenta, adicionar um caso e partir para a análise.
Bom, é isso, galera
Espero que este post possa ser útil para quem precisar instalar estas 2 ferramentas no seu sistema.
Existe um outro post em um outro blog que mostra exatamente estes mesmos passos que eu mostrei aqui: http://shankaraman.wordpress.com/2012/11/16/how-to-install-autopsy-and-sleuthkit-in-ubuntu/
Um abração e até a próxima!
Resetar Senha de Login no Windows Vista
Opa, e aí galera? Tudo bem?
Às vezes deparamos com certos problemas que nos dão dor de cabeça. Eu comprei um notebook da Dell há um tempo atrás, modelo Inspiron 1525. Ele veio com o sistema Windows Vista Basic instalado de fábrica. Muito bem, um certo dia, eu fui fazer o login no Vista e aí me deparei com a seguinte mensagem: login ou senha incorretos. Pronto, aí fui procurar alguma coisa na internet pra contornar esse problema e achei um tutorial bem bacana e simples. Era um tutorial para resetar a senha do Windows usando qualquer distribuição Linux Live-CD.
O que acontece é que na tela inicial do windows, no canto esquerdo, lá embaixo, aparecem 3 ícones. O primeiro é o ícone para facilitar o uso do computador. O segundo ícone é a barra de idiomas e o terceiro mostra qual é o teclado instalado no sistema operacional e que está em uso. O que nós temos que fazer é dar um jeito de iniciar o Windows trocando algum desses 3 ícones pelo ícone do prompt de comando. Os 8 passos seguintes é justamente pra realizar essa tarefa:
Às vezes deparamos com certos problemas que nos dão dor de cabeça. Eu comprei um notebook da Dell há um tempo atrás, modelo Inspiron 1525. Ele veio com o sistema Windows Vista Basic instalado de fábrica. Muito bem, um certo dia, eu fui fazer o login no Vista e aí me deparei com a seguinte mensagem: login ou senha incorretos. Pronto, aí fui procurar alguma coisa na internet pra contornar esse problema e achei um tutorial bem bacana e simples. Era um tutorial para resetar a senha do Windows usando qualquer distribuição Linux Live-CD.
O que acontece é que na tela inicial do windows, no canto esquerdo, lá embaixo, aparecem 3 ícones. O primeiro é o ícone para facilitar o uso do computador. O segundo ícone é a barra de idiomas e o terceiro mostra qual é o teclado instalado no sistema operacional e que está em uso. O que nós temos que fazer é dar um jeito de iniciar o Windows trocando algum desses 3 ícones pelo ícone do prompt de comando. Os 8 passos seguintes é justamente pra realizar essa tarefa:
- Dê o boot na máquina com o Live-CD Linux
- Abra o terminal como root e crie um diretório. Ex: mkdir /media/win
- Digite o comando fdisk -l e veja qual é a partição Windows. Eu vou considerar que o Windows é o /dev/sda2.
- Monte a partição Windows no diretório criado anteriormente. Ex: mount /dev/sda2 /media/win
- Com o Windows montado, navegue até o diretório onde ficam os arquivos de sistema. Ex: cd /media/win/Windows/System32
- Dentro dessa pasta, procure o arquivo Utilman.exe
- Renomeie o arquivo. Ex: mv Utilman.exe Utilman.old
- Ainda dentro da pasta system32, renomeie o arquivo cmd. Ex: mv cmd.exe Utilman.exe
Pronto, assim estaremos enganando o Windows e o prompt de comando vai estar lá na tela de login do sistema. Depois disso, é preciso fazer mais algumas alterações simples, que são:
- Reinicialize o Windows e na tela de login, clique no ícone que está no canto inferior esquerdo da tela (perto do ícone de idiomas)
- Quando você clicar, vai aparecer a tela do prompt de comando. Digite: net user
- Vai abrir uma lista de usuários cadastrados no computador. Escolhe o usuário que você quer mudar a senha e digite: net user "nome que quer mudar" * (no meu caso, eu coloquei net user anderson *)
- Agora ele vai pedir para você digitar a senha. É só digitá-la.
Pronto, agora precisamos fazer voltar todos os programas normais, inclusive fazer voltar o facilitador de uso e acesso. Para isso, faça o seguinte:
- Reinicialize o computador com o Live-CD Linux
- Abra o terminal do linux como root e navegue até o diretório /media/win/Windows/System32
- Dentro deste diretório renomeie o arquivo utilman. Ex: mv Utilman.exe cmd.exe
- Depois renomeie o arquivo utilman.old. Ex: mv Utilman.old Utilman.exe
Pronto, acabamos de resetar a senha de login do Windows tendo em mãos uma distribuição linux. É muito simples fazer este tipo de tarefa. É claro que existem outras maneiras de resetar a senha de login, por exemplo, usando o CD Hirens. E existem softwares pagos pra isso tambem. O meu intuito aqui foi mostrar como eu posso usar qualquer distribuição Linux Live-CD para este tipo de tarefa especificamente.
É isso. Um abraço em todos!
Forense em Celulares com Software Livre
O campo da forense computacional cada vez se torna mais amplo. Os peritos em informática precisam lidar com computadores, além de PDA's e celulares.Hoje em dia, muitas pessoas guardam informações sobre suas vidas nestes aparelhos, como por exemplo, vídeos de seus familiares, lêem e-mails, ouvem músicas, mandam mensagens de textos, acessam a internet, agendam seus compromissos, tudo isso feito através dos celulares. Isso sem falar nos smartphones, que permitem o uso de softwares para planilhas elêtronicas e outros programas.
Nesse sentido, algumas empresas como a msab, desenvolveram equipamentos específicos para análise forense em celulares. Só que estes equipamentos costumar ser caros. Os links abaixo mostram alguns equipamentos com esse intuito:
Pra quem não tem tanto dinheiro assim, entra em cena o software livre, mais especificamente, o Linux. Eles nos permite realizar uma análise básica de todos os dispositivos conectados na porta USB do computador nos apresentando algumas informações. Mas como acessá-las no Linux?
É simples. Basta acessar o diretório /var/log/syslog com o comando tail. Este comando nos possibilita visualizar as últimas linhas de um arquivo. Adicionando o parâmetro -f, à medida que o arquivo vai crescendo, ele vai mostrando as últimas linhas, dinamicamente.
O comando tail -f mostra por padrão as últimas 10 linhas. Para mostrar as últimas 20, é só digitar o comando tail -n 20 /var/log/syslog, se quiser as últimas 30, é só digitar o comando tail -n 30 /var/log/syslog, e assim por diante.
A figura 1 mostra um celular conectado ao PeriBR (distribuição linux voltada para forense) e com o comando tail -n 40 /var/log/syslog rodando. Ele nos mostra algumas informações básicas.
A figura 2 mostra uma câmera digital sendo conectada à mesma distribuição Linux. O comando tail -f /var/log/syslog mostra as últimas 10 linhas, dinamicamente. Isso significa que à medida que formos conectando e desconectando os aparelhos na interface USB, ele vai mostrando na tela; ao contrário do parâmetro "-n" que não é dinâmico.
A figura 3 mostra uma Pendrive sendo conectada ao sistema. O comando tail -n 20 /var/log/syslog mostra as últimas 20 linhas do arquivo.
A figura 4 mostra uma outra Pendrive conectada ao PeriBR. O comando tail -n 20 /var/log/syslog mostra as últimas 20 linhas do arquivo.
Montar imagens Windows copiadas para o Disco
No post passado eu mostrei como montar uma imagem diretamente de uma pendrive. Neste post, eu vou mostrar como montar uma imagem Windows, que já está no HD. Eu vou usar novamente a distribuição Linux voltada para forense - PeriBR. E estarei montando uma imagem do windows vista no PeriBR.Então, mãos à obra!Primeiramente, é preciso copiar a imagem do windows para o HD, que tem o peribr instalado. No meu caso, eu criei um diretório "/images" e copiei a minha imagem windows para este diretório. A figura 1 mostra o cálculo do MD5, para verificar a integridade da cópia. Se as saídas do md5 forem as mesmas, significa que a cópia da imagem para o HD é íntegra, ou seja, o arquivo não teve o seu conteúdo alterado. A figura 1 mostra o cálculo md5 do arquivo original (arquivo no pendrive) e o cálculo md5 do arquivo já na máquina, lá dentro do diretório "/images".
Depois de fazer o cálculo e verificar que o md5 na cópia da imagem e na original são os mesmos (ou seja, o arquivo está íntegro), agora é só montar. Para montá-la, crie primeiramente um diretório, digitando o comando "mkdir ". No meu caso, eu vou criar o diretório "/mnt/image". Então fica assim: mkdir /mnt/image.Agora, para montar a imagem, digite o comando "mount -t ntfs-3g -o ro,loop,show_sys_files /images/vista_dd.001 /mnt/image". A figura 2 mostra o comando na tela do shell e o comando " df- h" para verificar se a imagem foi montada corretamente.
Agora é só acessar o conteúdo da imagem. A figura 3 mostra o acesso ao conteúdo da imagem com os Atributos dos arquivos (parâmetro show_sys_files é quem possibilita este acesso).
Montar imagens Windows em Linux diretamente de uma Pendrive
Pra quem não sabe montar uma imagem Windows em sistemas Linux, aqui vai como fazê-lo. No meu exemplo, eu vou montar uma imagem do Windows Vista em um ambiente Linux voltada pra forense computacional, utilizando uma ditribuição chamada PeriBR. Mas essa dica vale pra qualquer ditribuição linux.
Partindo do pressuposto que a imagem está em uma Pendrive ou HD externo, para montá-la sem copiar a imagem para o HD da estação forense (ou seja, analisando a imagem diretamente no dispositivo USB - pendrive ou HD externo), faça o seguinte:
Partindo do pressuposto que a imagem está em uma Pendrive ou HD externo, para montá-la sem copiar a imagem para o HD da estação forense (ou seja, analisando a imagem diretamente no dispositivo USB - pendrive ou HD externo), faça o seguinte:
- Plugue o pendrive (ou o HD externo no seu computador);
- Digite o comando fdisk -l para ver as partições do sitema. (figura1)
- Digite o comando df -h, ou se preferir mount para ver qual sistema de arquivo é a sua pendrive, e em qual diretório ela está montada. Vocês podem ver na imagem que o comando mount mostra que minha pendrive está montada como read-only (ro). (figura2)
Agora eu vou criar o diretório aonde vou montar minha pendrive (acessar os arquivos da minha imagem). Para isso, digite o comando mkdir /mnt/image.
- Depois, para montar a imagem, digite o comando mount -t ntfs-3g -o ro,loop,show_sys_files /dev/sdb1 /mnt/image.
- Se digitamos o comando ls -lh /mnt/image, irá aparecer na tela do shell os arquivos de metadados do windows (isso é possível porque na hora em que a imagem foi montada, nós passamos o parâmetro show_sys_files). Se não passarmos este parâmetro no momento de montar a imagem, não teremos a possibilidade de acessar estes metadados - símbolo $ no início do nome do arquivo). (Figura 3)
Para usar o Sleuthkit na imagem do Windows, pode digitar, por exemplo, o comando fsstat /mnt/image/vista_dd.001 (figura 4)
Para acessar os metadados de volume do Windows (parâmetro show_sys_files), digite o comando strings /mnt/image/\$Boot (figura 5)
Assinar:
Postagens (Atom)